加密算法性能对比：AES、RSA、ECC等

讲并发与吞吐，绕不开加密算法的选型。很多人以为选算法只看安全强度，结果上线后吞吐直接腰斩。我今天就拿三种最常用的算法——AES、RSA、ECC——掰开揉碎讲清楚它们的性能底牌。

对称加密：AES的速度优势

AES是目前对称加密的工业标准。它用同一个密钥加密和解密，硬件指令集（比如Intel的AES-NI）让它的速度非常漂亮。我曾在某支付网关项目里测过，单核每秒能跑超过2GB的数据流。你想想看，这个量级在RSA、ECC面前几乎是碾压的。

不过AES有个死穴：密钥分发。两边得事先约定同一个密钥，这在开放网络里几乎不可能。

非对称加密：RSA与ECC的对比

RSA和ECC解决了密钥分发问题，但代价是性能。RSA依靠大数分解，ECC依靠椭圆曲线离散对数。其实ECC在相同安全强度下比RSA快得多，而且密钥短。我记得有一次帮客户优化TLS握手，把RSA-2048换成ECC-256（X25519），握手机制耗时直接降了70%。

为什么ECC更快？它的数学运算在有限域上，乘法和点加都是轻量级。而RSA的大整数幂模运算，一次就要几千bit的乘法，硬件加速也救不了。

混合加密的实战组合

真正常见的生产模式是“混合加密”。流程大致如下：

1. 客户端生成一个临时AES密钥（比如256bit）。
2. 用服务端的公钥（RSA或ECC）加密这个AES密钥，发送过去。
3. 服务端用私钥解密，得到AES密钥。
4. 后续所有数据都用AES对称加密传输。

这样一来，性能开销集中在第一次握手（非对称），后续海量数据都走AES线速通道。我建议把非对称算法只用于密钥交换，ECC-256做ECDH，然后派生AES-256-GCM密钥——这个模式在TLS 1.3里已经是标准了。

性能测试方法

光看理论数字不直观，在真实环境里最好自己压测。我是用一套模板来测的：

# 简单压测思路（伪代码）
for each algorithm in [AES-256-GCM, RSA-2048, ECC-256]:
    setup context (key pair or key)
    start = now()
    for i in 1..N:
        if algorithm == AES:
            encrypt(1KB plaintext)
        else:
            sign(1KB hash)   # 非对称只测签名
    elapsed = now() - start
    throughput = N / elapsed
    print(algorithm, throughput)

你可以在自己的服务器上用openssl speed命令快速出数据：

# 查看系统自带的性能
openssl speed aes-256-cbc rsa2048 ecdh

嗯，这里要注意：openssl的测试用的是固定样本，可能和你的业务模式有偏差。我习惯写一个微基准测试，跑100万次，取中位数和百分位。

一张图看清性能与安全的关系

下面这张图我把三种算法放在同一个坐标系里：横轴是安全强度（等效对称密钥bit），纵轴是相对吞吐（取对数）。你可以看到AES在右上角，RSA在左下角，ECC夹在中间但更靠近AES。

从图中能直观看到：ECC在128bit安全强度下吞吐比RSA高一个数量级，而AES在256bit强度下仍然保持最高吞吐。这就是为什么现代系统都优先ECC做密钥交换，AES做数据加密。

总结：选型清单